建立数据通道的方法、系统及相关设备

摘要

本发明公开了一种建立数据通道的方法，包括：卡外实体从智能卡管理平台获取申请数据通道的安全认证信息；所述卡外实体向智能卡设备发送携带所述安全认证信息的认证注册消息；所述智能卡设备校验所述安全认证信息成功后，与所述卡外实体建立数据通道。本发明同时还公开了一种卡外实体、智能卡管理平台、智能卡设备及建立数据通道的系统。

说明书

技术领域

本发明涉及数据业务领域，尤其涉及一种建立数据道的方法、系统及相关设备。

背景技术

随着移动电子商务的普及，智能卡存储的数据越来越多、越来越重要。智能卡目前可以存储用户身份信息、银行卡账户信息、银行卡账户余额等敏感信息，因此智能卡的安全性更加重要。

目前，智能卡产品支持卡外实体通过非接读卡器、数据线(接触式)、蓝牙多种物理连接形式访问，并与智能卡进行数据交互。

智能卡的安全性，一方面依赖于智能卡硬件设备，而另一方面则依赖于智能卡与卡外实体之间的数据通道安全机制。

如图1所示，目前，卡外实体(包括读卡器、手机等卡外实体)通过与智能卡之间所建立的物理通道访问智能卡，比如：非接物理通道、或蓝牙物理通道等。然而，智能卡与卡外实体之间所建立的数据通道没有安全认证机制，所以卡外实体可以随意访问智能卡，这样，会对智能卡构成攻击伤害，从而任意获取智能卡上的敏感信息(用户身份信息、银行卡信息、银行账户余额等)、修改智能卡上的数据等。

发明内容

为解决现有存在的技术问题，本发明实施例提供一种建立数据道的方法、系统及相关设备。

本发明实施例提供了一种建立数据通道的方法，包括：

卡外实体从智能卡管理平台获取申请数据通道的安全认证信息；

所述卡外实体向智能卡设备发送携带所述安全认证信息的认证注册消息；

所述智能卡设备校验所述安全认证信息成功后，与所述卡外实体建立数据通道。

上述方案中，所述卡外实体从智能卡管理平台获取申请数据通道的安全认证信息，包括：

所述卡外实体向所述智能卡管理平台发送携带对应应用相关信息的数据通道注册申请；

所述智能卡管理平台收到所述数据通道注册申请后，利用自身存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息；

所述智能卡管理平台将生成的安全认证信息发送给所述卡外实体。

上述方案中，所述智能卡设备校验所述安全认证信息，包括：

所述智能卡设备利用自身存储的密钥或证书，并根据对应应用相关信息，生成所述对应应用的安全认证信息；

将生成的所述对应应用的安全认证信息与所述认证注册消息中携带的安全认证信息进行匹配。

上述方案中，数据通道建立后，所述方法还包括：

所述智能卡设备在自身的应用软件注册表中增加所述对应应用的信息。

上述方案中，数据通道建立后，所述方法还包括：

所述智能卡设备收到所述卡外实体的应用协议数据单元(APDU，ApplicationProtocolDataUnit)指令后，确定与所述APDU对应的数据通道有效时，进行相应的交易操作。

上述方案中，所述确定与所述APDU对应的数据通道有效，为：

所述智能卡设备根据所述应用软件注册表中所述APDU对应的数据通道的信息，确定所述APDU对应的数据通道有效。

上述方案中，所述方法还包括：

交易操作完成后，所述智能卡设备关闭所述APDU对应的数据通道；并删除所述应用软件注册表中对应的信息。

本发明实施例还提供了一种卡外实体，包括：获取单元、第一发送单元及数据通道建立单元；其中，

所述获取单元，用于从智能卡管理平台获取申请数据通道的安全认证信息；

所述第一发送单元，用于向智能卡设备发送携带所述安全认证信息的认证注册消息；

所述数据通道建立单元，用于在所述智能卡设备校验所述安全认证信息成功后，与所述智能卡建立数据通道。

上述方案中，所述获取单元还包括：第一发送模块及第一接收模块；其中，

所述第一发送模块，用于向所述智能卡管理平台发送携带对应应用相关信息的数据通道注册申请；

所述第一接收模块，用于接收所述智能卡管理平台发送的所述对应应用的安全认证信息；所述安全认证信息由所述智能卡管理平台利用自身存储的密钥或证书，并根据所述应用相关信息生成。

本发明实施例又提供了一种智能卡管理平台，包括：第二接收单元、信息生成单元及第二发送单元；其中，

所述第二接收单元，用于卡外实体发送的携带对应应用相关信息的数据通道注册申请；

所述信息生成单元，用于利用自身存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息；

所述第二发送单元，用于将生成的安全认证信息发送给所述卡外实体。

上述方案中，所述信息生成单元还可以包括：存储模块及数据通道安全模块；其中，

所述存储模块，用于存储密钥或证书；

所述数据通道安全模块，用于根据所述利用所述存储模块存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息。

本发明实施例还提供了一种智能卡设备，包括：第三接收单元及数据通道建立单元；其中，

所述第三接收单元，用于接收卡外实体发送的携带安全认证信息的认证注册消息；

所述数据通道建立单元，用于校验所述安全认证信息成功后，与所述卡外实体建立数据通道。

上述方案中，所述数据通道建立单元还包括：信息生成模块、匹配模块及数据通道建立模块；其中，

所述信息生成模块，用于利用自身存储的密钥或证书，并根据对应应用相关信息，生成所述对应应用的安全认证信息；

所述匹配模块，用于将生成的所述对应应用的安全认证信息与所述认证注册消息中携带的安全认证信息进行匹配，并在匹配后触发所述数据通道建立模块；

所述数据通道建立模块，用于收到所述匹配模块的触发后，与所述卡外实体建立数据通道。

上述方案中，所述设备还包括：应用软件注册表管理单元，用于数据通道建立后，在自身的应用软件注册表中增加所述对应应用的信息。

上述方案中，所述设备还可以包括：SE操作单元，用于数据通道建立，且收到所述卡外实体的APDU指令后，确定与所述APDU对应的数据通道有效时，进行相应的交易操作。

上述方案中，所述数据通道建立单元，还用于交易操作完成后，关闭所述APDU对应的数据通道；

相应地，所述应用软件注册表管理单元，还用于删除所述应用软件注册表中对应的信息。

本发明实施例又提供了一种建立数据通道的系统，包括：智能卡管理平台、卡外实体及智能卡设备；其中，

所述卡外实体，用于从所述智能卡管理平台获取申请数据通道的安全认证信息；并向所述智能卡设备发送携带所述安全认证信息的认证注册消息；

所述智能卡设备，用于校验所述安全认证信息成功后，与所述卡外实体建立数据通道。

上述方案中，所述卡外实体，用于向所述智能卡管理平台发送携带对应应用相关信息的数据通道注册申请；并接收所述智能卡管理平台发送的全认证信息；

所述智能卡管理平台，用于收到所述数据通道注册申请后，利用自身存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息；并将生成的安全认证信息发送给所述卡外实体。

上述方案中，所述智能卡设备，还用于数据通道建立后，在自身的应用软件注册表中增加所述对应应用的信息。

上述方案中，所述智能卡设备，还用于数据通道建立后，且收到所述卡外实体的APDU指令后，确定与所述APDU对应的数据通道有效时，进行相应的交易操作。

上述方案中，所述智能卡设备，还用于交易操作完成后，关闭所述APDU对应的数据通道；并删除所述应用软件注册表中对应的信息。

本发明实施例提供的建立数据道的方法、系统及相关设备，卡外实体从智能卡管理平台获取申请数据通道的安全认证信息；所述卡外实体向智能卡设备发送携带所述安全认证信息的认证注册消息；所述智能卡设备校验所述安全认证信息成功后，与所述卡外实体建立数据通道，如此，能保证所述智能卡不受攻击和伤害，从而保证智能卡设备的安全性。

附图说明

在附图(其不一定是按比例绘制的)中，相似的附图标记可在不同的视图中描述相似的部件。具有不同字母后缀的相似附图标记可表示相似部件的不同示例。附图以示例而非限制的方式大体示出了本文中所讨论的各个实施例。

图1为相关技术智能卡的数据通道示意图；

图2为本发明实施例一中一种建立数据通道的方法流程示意图；

图3为本发明实施例二中卡外实体结构示意图；

图4为本发明实施例二中智能卡管理平台结构示意图；

图5为本发明实施例二中智能卡设备结构示意图；

图6为本发明实施例二中建立数据通道的系统结构示意图；

图7为本发明实施例三建立数据通道的系统架构及交互示意图。

具体实施方式

下面结合附图及实施例对本发明再作进一步详细地描述。

在本发明的各种实施例中，卡外实体从智能卡管理平台获取申请数据通道的安全认证信息；所述卡外实体向智能卡设备发送携带所述安全认证信息的认证注册消息；所述智能卡设备校验所述安全认证信息成功后，与所述卡外实体建立数据通道。

实施例一

本实施例提供一种建立数据通道的方法，应用于卡外实体，包括以下步骤：

从智能卡管理平台获取申请数据通道的安全认证信息；

向智能卡设备发送携带所述安全认证信息的认证注册消息；

并在所述智能卡设备校验所述安全认证信息成功后，与所述智能卡建立数据通道。

其中，所述从智能卡管理平台获取申请数据通道的安全认证信息，具体为：

向所述智能卡管理平台发送携带对应应用相关信息的数据通道注册申请；

接收所述智能卡管理平台发送的所述对应应用的安全认证信息；所述安全认证信息由所述智能卡管理平台利用自身存储的密钥或证书，并根据所述应用相关信息生成。

这里，所述安全认证信息可以是签名或令牌(Token)。

本实施例还提供一种建立数据通道的方法，应用于智能卡管理平台，包括以下步骤：

接收卡外实体发送的携带对应应用相关信息的数据通道注册申请；

利用自身存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息；

将生成的安全认证信息发送给所述卡外实体。

这里，所述安全认证信息可以是签名或令Token。

本实施例还提供一种建立数据通道的方法，应用于智能卡设备，包括以下步骤：

接收卡外实体发送的携带安全认证信息的认证注册消息；

校验所述安全认证信息成功后，与所述卡外实体建立数据通道。

这里，所述校验所述安全认证信息，具体包括：

利用自身存储的密钥或证书，并根据对应应用相关信息，生成所述对应应用的安全认证信息；

将生成的所述对应应用的安全认证信息与所述认证注册消息中携带的安全认证信息进行匹配；如果二者能够匹配，说明所述智能卡设备校验所述安全认证信息成功，如果二者不能匹配，说明所述智能卡设备校验所述安全认证信息失败，此时，所述智能卡设备会向所述卡外实体返回错误信息。

其中，所述安全认证信息可以是签名或Token等。

数据通道建立后，该方法还可以包括：

所述智能卡设备在自身的应用软件注册表中增加所述对应应用的信息。这里，所述对应应用的信息可以包括：所述对应应用的标识、通道的状态以及分配的权限；其中，所述分配的权限可以包括：对应的注册、注销、以及安全模块(SE)操作等。

数据通道建立后，该方法还可以包括：

所述智能卡设备收到所述卡外实体的APDU指令后，确定与所述APDU对应的数据通道有效时，进行相应的交易操作。

其中，所述确定与所述APDU对应的数据通道有效，具体为：

根据所述应用软件注册表中所述APDU对应的数据通道的信息，确定所述APDU对应的数据通道有效。

具体地，如果所述应用软件注册表中所述APDU对应的数据通道的信息中，数据通道的状态为有效，则说明所述APDU对应的数据通道有效；相应地，如果数据通道的状态为无效，则说明所述APDU对应的数据通道无效。

确定所述APDU对应的数据通道无效时，所述智能卡设备拒绝执行与所述APDU指令相关的操作。

该方法还可以包括：

交易操作完成后，所述智能卡关闭所述APDU对应的数据通道；并删除所述应用软件注册表中对应的信息。

本实施例提供的建立数据通道的方法，如图2所示，包括以下步骤：

步骤201：卡外实体从智能卡管理平台获取申请数据通道的安全认证信息；

具体地，所述卡外实体向所述智能卡管理平台发送携带对应应用相关信息的数据通道注册申请；

所述智能卡管理平台收到所述数据通道注册申请后，利用自身存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息；

所述智能卡管理平台将生成的安全认证信息发送给所述卡外实体。

其中，所述卡外实体的物理形态可以多种，比如可以为非接触IC卡、接触式IC卡、蓝牙卡等。

所述安全认证信息可以是签名或Token等。

步骤202：所述卡外实体向智能卡设备发送携带所述安全认证信息的认证注册消息；

步骤203：所述智能卡设备校验所述安全认证信息成功后，与所述卡外实体建立数据通道。

这里，所述智能卡设备校验所述安全认证信息，具体包括：

所述智能卡设备利用自身存储的密钥或证书，并根据对应应用相关信息，生成所述对应应用的安全认证信息；

将生成的所述对应应用的安全认证信息与所述认证注册消息中携带的安全认证信息进行匹配；如果二者能够匹配，说明所述智能卡设备校验所述安全认证信息成功，如果二者不能匹配，说明所述智能卡设备校验所述安全认证信息失败，此时，所述智能卡设备会向所述卡外实体返回错误信息。

数据通道建立后，该方法还可以包括：

所述智能卡设备在自身的应用软件注册表中增加所述对应应用的信息。这里，所述对应应用的信息可以包括：所述对应应用的标识、通道的状态以及分配的权限；其中，所述分配的权限可以包括：对应的注册、注销、以及SE操作等。

数据通道建立后，该方法还可以包括：

所述智能卡设备收到所述卡外实体的APDU指令后，确定与所述APDU对应的数据通道有效时，进行相应的交易操作。

其中，所述确定与所述APDU对应的数据通道有效，具体为：

所述智能卡设备根据所述应用软件注册表中所述APDU对应的数据通道的信息，确定所述APDU对应的数据通道有效。

具体地，如果所述应用软件注册表中所述APDU对应的数据通道的信息中，数据通道的状态为有效，则说明所述APDU对应的数据通道有效；相应地，如果数据通道的状态为无效，则说明所述APDU对应的数据通道无效。

确定所述APDU对应的数据通道无效时，所述智能卡设备拒绝执行与所述APDU指令相关的操作。

该方法还可以包括：

交易操作完成后，所述智能卡设备关闭所述APDU对应的数据通道；并删除所述应用软件注册表中对应的信息。

本实施例提供的建立数据通道的方法，卡外实体从智能卡管理平台获取申请数据通道的安全认证信息；所述卡外实体向智能卡设备发送携带所述安全认证信息的认证注册消息；所述智能卡设备校验所述安全认证信息成功后，与所述卡外实体建立数据通道，如此，能保证所述智能卡不受攻击和伤害，从而保证智能卡设备的安全性。

另外，所述智能卡设备收到所述卡外实体的APDU指令后，确定与所述APDU对应的数据通道有效时，才进行相应的交易操作；如此，进一步保证了智能卡设备的安全性。

实施例二

为实现实施例一的方法，本实施例提供一种卡外实体，如图3所示，该卡外实体包括：获取单元31、第一发送单元32及数据通道建立单元33；其中，

所述获取单元31，用于从智能卡管理平台获取申请数据通道的安全认证信息；

所述第一发送单元32，用于向智能卡设备发送携带所述安全认证信息的认证注册消息；

所述数据通道建立单元33，用于在所述智能卡设备校验所述安全认证信息成功后，与所述智能卡建立数据通道。

其中，所述获取单元31还可以包括：第一发送模块及第一接收模块；其中，

所述第一发送模块，用于向所述智能卡管理平台发送携带对应应用相关信息的数据通道注册申请；

所述第一接收模块，用于接收所述智能卡管理平台发送的所述对应应用的安全认证信息；所述安全认证信息由所述智能卡管理平台利用自身存储的密钥或证书，并根据所述应用相关信息生成。

这里，所述安全认证信息可以是签名或Token。

实际应用时，获取单元31可由中央处理器(CPU，CentralProcessingUnit)、微处理器(MCU，MicroControlUnit)、数字信号处理器(DSP，DigitalSignalProcessor)或可编程逻辑阵列(FPGA，Field－ProgrammableGateArray)结合收发机实现；所述第一发送单元32第一发送模块可由卡外实体中的发射机实现，所述数据通道建立单元33可由卡外实体的CPU、MCU、DSP或FPGA结合收发机实现；所述第一接收模块可由卡外实体中的接收机实现。

为实现实施例一的方法，本实施例还提供一种智能卡管理平台，如图4所示，包括：第二接收单元41、信息生成单元42及第二发送单元43；其中，

所述第二接收单元41，用于卡外实体发送的携带对应应用相关信息的数据通道注册申请；

所述信息生成单元42，用于利用自身存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息；

所述第二发送单元43，用于将生成的安全认证信息发送给所述卡外实体。

这里，所述安全认证信息可以是签名或令Token。

所述信息生成单元42还可以包括：存储模块及数据通道安全模块；其中，

所述存储模块，用于存储密钥或证书；

所述数据通道安全模块，用于根据所述利用所述存储模块存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息。

实际应用时，所述第二接收单元41可由智能卡管理平台中的接收机实现；所述信息生成单元可由智能卡管理平台中的CPU、MCU、DSP或FPGA结合存储器实现；所述第二发送单元43可由智能卡管理平台中的发射机实现；所述存储模块可由智能卡管理平台中的存储器实现；所述数据通道安全模块可由智能卡管理平台中的CPU、MCU、DSP或FPGA实现。

为实现实施例一的方法，本实施例还提供一种智能卡设备，如图5所示，包括：第三接收单元51及数据通道建立单元52；其中，

所述第三接收单元51，用于接收卡外实体发送的携带安全认证信息的认证注册消息；

所述数据通道建立单元52，用于校验所述安全认证信息成功后，与所述卡外实体建立数据通道。

这里，所述数据通道建立单元52还可以包括：信息生成模块、匹配模块及数据通道建立模块；其中，

所述信息生成模块，用于利用自身存储的密钥或证书，并根据对应应用相关信息，生成所述对应应用的安全认证信息；

所述匹配模块，用于将生成的所述对应应用的安全认证信息与所述认证注册消息中携带的安全认证信息进行匹配，并在匹配后触发所述数据通道建立模块；

所述数据通道建立模块，用于收到所述匹配模块的触发后，与所述卡外实体建立数据通道。

其中，所述匹配模块将生成的所述对应应用的安全认证信息与所述认证注册消息中携带的安全认证信息进行匹配时，如果二者能够匹配，说明校验所述安全认证信息成功，如果二者不能匹配，说明校验所述安全认证信息失败，此时，所述匹配模块会向所述卡外实体返回错误信息。

其中，所述安全认证信息可以是签名或Token等。

该智能卡设备还可以包括：应用软件注册表管理单元，用于数据通道建立后，在自身的应用软件注册表中增加所述对应应用的信息。这里，所述对应应用的信息可以包括：所述对应应用的标识、通道的状态以及分配的权限；其中，所述分配的权限可以包括：对应的注册、注销、以及安SE操作等。

该智能卡设备还可以包括：SE操作单元，用于数据通道建立，且收到所述卡外实体的APDU指令后，确定与所述APDU对应的数据通道有效时，进行相应的交易操作。

其中，所述确定与所述APDU对应的数据通道有效，具体为：

根据所述应用软件注册表中所述APDU对应的数据通道的信息，确定所述APDU对应的数据通道有效。

具体地，如果所述应用软件注册表中所述APDU对应的数据通道的信息中，数据通道的状态为有效，则说明所述APDU对应的数据通道有效；相应地，如果数据通道的状态为无效，则说明所述APDU对应的数据通道无效。

确定所述APDU对应的数据通道无效时，SE操作单元拒绝执行与所述APDU指令相关的操作。

所述数据通道建立单元52，还用于交易操作完成后，关闭所述APDU对应的数据通道；

相应地，所述应用软件注册表管理单元，还用于删除所述应用软件注册表中对应的信息。

实际应用时，所述第三接收单元51可由智能卡设备中的接收机实现；所述数据通道建立单元52及数据通道建立模块可由智能卡设备中的CPU、MCU、DSP或FPGA结合收发机实现；所述信息生成模块、匹配模块、应用软件注册表管理单元及SE操作单元可由智能卡设备中的CPU、MCU、DSP或FPGA实现。

为实现实施例一的方法，本实施例还提供一种建立数据通道的系统，如图6所示，该系统包括：智能卡管理平台61、卡外实体62及智能卡设备63；其中，

所述卡外实体62，用于从所述智能卡管理平台61获取申请数据通道的安全认证信息；并向所述智能卡设备63发送携带所述安全认证信息的认证注册消息；

所述智能卡设备63，用于校验所述安全认证信息成功后，与所述卡外实体62建立数据通道。

其中，所述卡外实体62，用于向所述智能卡管理平台61发送携带对应应用相关信息的数据通道注册申请；并接收所述智能卡管理平台61发送的全认证信息；

所述智能卡管理平台61，用于收到所述数据通道注册申请后，利用自身存储的密钥或证书，并根据所述应用相关信息，生成所述对应应用的安全认证信息；并将生成的安全认证信息发送给所述卡外实体62。

所述卡外实体62的物理形态可以多种，比如可以为非接触IC卡、接触式IC卡、蓝牙卡等。

所述安全认证信息可以是签名或Token等。

这里，所述智能卡设备63校验所述安全认证信息，具体包括：

所述智能卡设备63利用自身存储的密钥或证书，并根据对应应用相关信息，生成所述对应应用的安全认证信息；

将生成的所述对应应用的安全认证信息与所述认证注册消息中携带的安全认证信息进行匹配；如果二者能够匹配，说明所述智能卡设备63校验所述安全认证信息成功，如果二者不能匹配，说明所述智能卡设备63校验所述安全认证信息失败，此时，所述智能卡设备63会向所述卡外实体62返回错误信息。

所述智能卡设备63，还用于数据通道建立后，在自身的应用软件注册表中增加所述对应应用的信息。这里，所述对应应用的信息可以包括：所述对应应用的标识、通道的状态以及分配的权限；其中，所述分配的权限可以包括：对应的注册、注销、以及SE操作等。

所述智能卡设备63，还用于数据通道建立后，且收到所述卡外实体的APDU指令后，确定与所述APDU对应的数据通道有效时，进行相应的交易操作。

其中，所述确定与所述APDU对应的数据通道有效，具体为：

所述智能卡设备63根据所述应用软件注册表中所述APDU对应的数据通道的信息，确定所述APDU对应的数据通道有效。

具体地，如果所述应用软件注册表中所述APDU对应的数据通道的信息中，数据通道的状态为有效，则说明所述APDU对应的数据通道有效；相应地，如果数据通道的状态为无效，则说明所述APDU对应的数据通道无效。

确定所述APDU对应的数据通道无效时，所述智能卡设备63拒绝执行与所述APDU指令相关的操作。

所述智能卡设备63，还用于交易操作完成后，关闭所述APDU对应的数据通道；并删除所述应用软件注册表中对应的信息。

本实施例提供的建立数据通道的系统，卡外实体62从智能卡管理平台61获取申请数据通道的安全认证信息；所述卡外实体62向智能卡设备63发送携带所述安全认证信息的认证注册消息；所述智能卡设备63校验所述安全认证信息成功后，与所述卡外实体62建立数据通道，如此，能保证所述智能卡不受攻击和伤害，从而保证智能卡设备的安全性。

另外，所述智能卡设备63收到所述卡外实体的APDU指令后，确定与所述APDU对应的数据通道有效时，才进行相应的交易操作；如此，进一步保证了智能卡设备的安全性。

实施例三

本实施例建立数据通道的系统，如图7所示，包括智能卡管理平台71、卡外实体72及智能卡73；其中，

智能卡管理平台71主要负责根据应用软件信息生成应用软件的签名或令牌(Token)，可以包括数据通道密钥或证书存储模块711(其功能相当于实施例二中存储模块的功能)及数据通道安全模块712(其功能相当于实施例二中第二接收单元、第二发送单元及数据通道安全模块三者功能之和)。这里，数据通道密钥或证书存储模块711用于存储数据通道的密钥或证书；数据通道安全模块712用于生成应用软件的签名或Token。

卡外实体72，包含智能卡管理软件721(其功能相当于实施例二中第一发送模块、第一接收模块、第一发送单元及数据通道建立单元的功能之和)、应用软件722及底层芯片723，主要负责将卡外实体72的应用软件在智能卡73上认证注册；具体地，将应用软件的注册申请发送至智能卡管理平台71；将智能卡管理71平台返回的应用软件的签名或Token发送给智能卡73进行认证注册；并通知应用软件在智能卡73的认证注册结果。实际应用时，卡外实体72的物理形态可以多种，比如可以为非接触IC卡、接触式IC卡、蓝牙卡等。

智能卡73是一种可安全管理数据通道的智能卡设备，与现有的智能卡相比，本实施例的智能卡增设有数据通道管理单元731，其具体包括：密钥或证书存储模块7311、卡外实体应用软件认证模块7312(其功能相当于实施例二中第三接收单元、信息生成模块及匹配模块的功能之和)、卡外实体应用软件注册表管理模块7313(其功能相当于实施例二中应用软件注册表管理单元的功能)、数据通道生命周期管理模块7314及SE操作模块7315(其功能相当于实施例二中SE操作单元的功能)。

这里，密钥或证书存储模块7311存储用于认证应用软件的密钥或证书。

卡外实体应用软件认证模块7312校验卡外实体72应用软件的安全认证信息(签名或Token)是否有效。

卡外实体应用软件注册表管理模块7313存储认证通过的应用软件标识以及分配应用软件权限；并在数据通道关闭后，将应用软件标识从卡外实体应用软件注册表中删除。应用软件的权限包括：软件注册(该权限只分配给智能卡管理软件)、软件注销(该权限只分配给智能卡管理软件)、SE操作(该权限可分配给智能卡管理软件和应用软件)。

数据通道生命周期管理模块7314用于维护每一个数据通道生命周期的状态，包括：数据通道的创建、关闭等状态；在数据通道创建后，为每个数据通道分配标识。

SE操作模块7315将合法有效的应用软件发送的APDU指令透传给SE732；并拒绝无效的应用软件的APDU指令。

实际应用时，对建立数据通道的系统的安全性要求，主要包括以下几点：

(1)智能卡73的数据通道管理单元731提供对应用软件的认证注册能力，可以采用签名方式或Token方式进行认证。

(2)智能卡73的卡外实体应用软件注册表中的软件注册信息只是“暂时”有效，即在该数据通道有效的生命周期内是有效的，应用软件只有在该数据通道有效的生命周期内可以允许访问智能卡73。

(3)对于数据通道密钥或证书，智能卡73和智能卡管理平台71中存储有用于建立数据通道的密钥或证书；具体地，智能卡管理平台71存储有私钥或根密钥，制卡时智能卡73存储有公钥或者根据集成电路卡识别码(ICCID，IntegrateCircuitCardIdentity)分散的子密钥，从而保证每个SE的证书或密钥是不同的。

(4)智能卡73与智能卡管理平台71之间的安全性；每个智能卡与智能卡管理平台之间的指令交互均有密钥保护，智能卡管理平台存储私钥或根密钥，制卡时将公钥或根据ICCID分散的子密钥写入智能卡中，且保证每个智能卡的密钥是不同的。

本实施例建立数据通道的过程，如图7所示，包括以下步骤：

步骤701：在与智能卡建立数据通道前，应用软件722向智能卡管理软件721发送数据通道注册申请；

步骤702：智能卡管理软件722收到数据通道注册申请后，将应用软件522发送的数据通道注册申请发送到智能卡管理平台51；

步骤703：智能卡管理平台71收到数据通道注册申请后，数据通道安全模块712从数据通道密钥或证书存储模块711中读取数据通道的密钥或证书；

步骤704：数据通道安全模块712利用读取的密钥或证书，依据应用软件的信息计算出应用软件申请数据通道的签名或Token；

步骤705：智能卡管理平台71向智能卡管理软件722发送应用软件认证注册的消息；

这里，发送的消息中携带应用软件申请数据通道的签名或Token。

步骤706：智能卡管理软件722收到消息后，向智能卡数据通道管理单元731发送应用软件认证注册的消息；智能卡数据通道管理单元731收到消息后，对应用软件进行数据通道认证注册，认证注册成功后执行步骤707；

这里，发送的消息中携带应用软件申请数据通道的签名或Token。

具体地，卡外实体应用软件认证模块7312读取密钥或证书存储模块7311中存储的密钥或证书，根据应用软件的信息计算出签名或者Token，并与智能卡管理软件721发送的签名或Token进行匹配，并在匹配后，触发卡外实体应用软件注册表管理模块7313在卡外实体应用软件注册表里增加应用软件的信息，此时说明认证注册成功，并继续步骤707的操作；如果不能匹配，则智能卡数据通道管理单元731向智能卡管理软件521返回错误信息，流程结束。

步骤707：智能卡管理软件721向应用软件722返回数据通道认证注册成功的结果；

步骤708：应用软件722收到结果后，与智能卡73的数据通道管理单元731建立数据通道，并由数据通道生命周期管理模块7314维护数据通道生命周期；

这里，数据通道生命周期管理模块7314动态确定数据通道是否有效，并将数据通道的状态通知给软件注册表管理模块7313，以便软件注册表管理模块7313更新对应的数据通道状态的相关信息。

其中，数据通道生命周期管理模块7314可以根据数据通道建立的时间长短、APDU指令的类别等动态确定数据通道是否有效。

步骤709：数据通道建立后，应用软件722可以向智能卡73发送应用处理逻辑的APDU指令，智能卡数据通道管理单元校验应用软件的状态有效后，将应用软件722发送的APDU指令转发到SE，进行应用交易。

这里，交易完成后，应用软件与智能卡之间的数据通道关闭，卡外实体应用软件注册表管理模块7313删除卡外实体应用软件注册表中的相关信息。

从上面的描述中可以看出，本实施例提供的方案，可以保障智能卡被卡外实体应用软件访问的安全性。

另外，智能卡管理软件722与智能卡管理平台51之间、以及智能卡管理软件722与智能卡数据通道管理单元731之间的安全策略可以灵活调整和升级。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用硬件实施例、软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。